SKRIFTLIG FRÅGA E-1724/02

från Bart Staes (Verts/ALE) till kommissionen

(13 juni 2002)

Ämne: Det elektroniska identitetskortet och skyddet av personuppgifter

Inom ramen för e-förvaltning beslutade de belgiska myndigheterna hösten 2000 att varje belgier senast 2005 skulle ha ett elektroniskt identitetskort på sig. För att utbytet av uppgifter mellan myndigheterna samt mellan myndigheterna och deras kunder skall vara så säkert som möjligt har FEDICT (Federale Overheidsdienst voor Informatica- en Communicatietechnologie) lanserat Public Key Infrastructure (PKI). Den kallas även certifieringsserviceregleringen. Kortet med den privata nyckeln skall företrädesvis förvaras på ett chip som säkras med en personkod.

Av en artikel (12.5.2002) i New York Times framgick att denna chipteknik kan kopieras. Två datasäkerhetsforskare, Sergei Skorobogatov och Ross Anderson, vid universitetet i Cambridge, har visat att de med hjälp av en enkel kamerablixt och ett mikroskop kunde hämta information ur chips. På det sättet blir det mycket enkelt för kriminella att skaffa sig personinformation. Förutom i elektroniska identitetskort används denna teknik även i en stor mängd andra tillämpningar, t.ex. kreditkort och bankkort samt det allmänt spridda GSM SIM-kortet. IBM-rapporten Partititioning attacks: Or how to rapidly clone some GSM Cards bekräftade denna sårbarhet. Forskarna visade att de kunde hämta information från SIM-kortet på ett ännu snabbare sätt.

Kan kommissionen bekräfta att ovanstående oroväckande rapporter är korrekta?

Om svaret är ja: Strider det då inte mot europeisk lagstiftning om skydd av personuppgifter? Borde inte medlemsstaterna vidta tekniska och organisatoriska åtgärder för att skydda personuppgifter, i synnerhet om bearbetningen omfattar sändning av uppgifter i ett nätverk? Vad kommer kommissionen att göra för att ingripa mot denna överträdelse av den personliga integriteten?

Om svaret är nej: Vilka motargument grundar sig kommissionen på för att tillbakavisa forskningen och chipteknikens kopierbarhet?

Gemensamt svarpå de skriftliga frågorna E-1723/02 och E-1724/02ingivet av Frederik Bolkestein för kommissionen

(26 september 2002)

Kommissionen känner till de belgiska myndigheternas lagförslag om införande av ett elektroniskt ID-kort genom en anmälan enligt direktiv 98/34/EG(1) (i detta direktiv föreskrivs att anmälan skall göras om nationell lagstiftning som särskilt rör tjänster i samband med informationssamhället). Belgien gjorde denna anmälan om lagförslaget (referens nr 2001/474/B), men begärde att texterna i enlighet med nämnda direktivs artikel 8.4 skulle behandlas förtroligt. Efter att ha företagit en analys av den föreslagna lagstiftningen avgav kommissionen ett utförligt yttrande och anmärkningar. Det utförliga yttrandet rör huvudsakligen de tekniska bilagorna, med syftet att säkerställa att dessa är förenliga med rådets direktiv 73/23/EEG av den 19 februari 1973 om harmonisering av medlemsstaternas lagstiftning om elektrisk utrustning avsedd för användning inom vissa spänningsgränser(2) och rådets direktiv 89/336/EEG av den 3 maj 1989 om tillnärmning av medlemsstaternas lagstiftning om elektromagnetisk kompatibilitet(3). Anmärkningarna rör dataskyddsmässiga aspekter.

Enligt kommissionens bedömning innehåller den föreslagna lagstiftningen på nuvarande stadium inte några särskilda bestämmelser om tvärförbindelse mellan medicinska eller polisiära databaser, trots att den innebär en förenkling av vissa existerande förfaranden i samband med tillgång till eller meddelande av personuppgifter.

Kommissionen är dock medveten om vikten av de frågor som parlamentsledamoten tar upp och kommer att ta hänsyn till dem som ett led i utvärderingsprocessen rörande genomförandet av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(4), vilket kommer att vara slutfört vid utgången av 2002.

Under alla omständigheter måste behandlingen av personuppgifter, också de nämnda tvärförbindelser som kommer att tas i bruk i samband med genomförandet av det nämnda ID-korte, utföras i enlighet med bestämmelserna i direktiv 95/46/EG. I detta direktiv, vars användningsområde är begränsat till gemenskapsrätten, fastställs principer och villkor för behandling av personuppgifter. Bland annat föreskrivs att all behandling av personuppgifter skall vara rimlig och laglig, samt att syften med uppgiftsbehandlingen som tillkommer efter insamlingen inte får vara oförenliga med de ursprungligen angivna syftena. Direktiv 95/46/EG innehåller dessutom, med vissa undantag, ett principiellt förbud mot att behandla upplysningar som rör hälsa. I direktivet föreskrivs också att det skall fastställas villkor för användning av unika identifikatorer.

Genom direktiv 95/46/EG införs dessutom åtgärder för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, mot oavsiktlig förlust, mot ändringar, obefogad spridning eller otillåten tillgång, samt mot alla andra former av olaglig behandling. Europaparlamentets och rådets direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet, som från och med den 31 oktober 2003 kommer att ersättas av direktiv 2002/58/EG(5), innehåller också särskilda säkerhetsbestämmelser rörande offentliga telekommunikationsnät och offentligt tillgängliga telekommunikationstjänster.

Kommissionen följer uppmärksamt den tekniska utvecklingen när det gäller säkerhet vid uppgiftsutbyte. Den vill i detta sammanhang påpeka att den säkerhetsnivå som kan uppnås vid användning av infrastruktur med en offentligt tillgänglig pinkod inte endast är beroende

av den säkerhetsnivå som de tekniska delarna i denna infrastruktur kan ge, utan också av säkerhetsförfarandenas kvalitet och i särskilt hög grad av det sätt de genomförs på (smartkort, pinkodsgenerering, vilken myndighet som utställer certifikat, dessas giltighet o.s.v.).

Kommissionen riktar särskild uppmärksamhet mot den säkerhetsteknik som används för överföring av personuppgifter. Den vill dock samtidigt understryka att ett fullständigt säkert system inte finns, samt att enligt direktiv 95/46/EG skall den aktuella tekniska nivån och de kostnader som är förbundna med åtgärdernas genomförande ge en tillräcklig säkerhetsnivå i förhållande till de risker som behandlingen innebär, och arten av de uppgifter som skall skyddas.

Vad beträffar sammansättningen av de kontrollmyndigheter som skall övervaka tillämpningen av de bestämmelser som medlemsstaterna antar, så föreskrivs i direktiv 95/46/EG att dessa myndigheter skall utföra sitt arbete självständigt. Direktivet innehåller emellertid inte några ytterligare upplysningar om hur detta skall garanteras. Kommissionen vill i detta sammanhang betona att i enlighet med den belgiska lagen av den 8 december 1992 om skydd av privatlivet i samband med behandling av personuppgifter är den behöriga belgiska myndigheten för dataskydd ett kollegialt organ vars medlemmar utses av parlamentet. I samma lag föreskrivs att medlemmarna skall måste kunna tillhandahålla samtliga garantier för att kunna utföra sitt uppdrag med fullt oberoende. Lagen innehåller en räcke bestämmelser härom, bl.a. ett förbud mot att medlemmarna deltar i diskussioner om ämnen som de har ett personligt intresse i.

Kommissionen vill påminna om, att den stöder forskningsprojekt som sysslar med smartkortssäkerhet. Forskarna Ross Anderson och Sergej Skorobogatov deltar i projektet G3CARD (IST-1999-26328). Syftet med detta projekt är dubbelt. Först och främst försöker man upptäcka alla möjligheter att angripa ett sådant kort, som t.ex. flashing. Projektets andra syfte är att utveckla en ny generation av mikrochips, som kan motstå dessa nya angreppsformer.

Fördelen med smartkort är att man får en kraftig förbättring av systemsäkerheten genom att angrepp blir både komplicerade och kostsamma och därmed åtminstone under en viss tid otillgängliga för brottslingarna. Det står dock klart, att det hela tiden utvecklas nya angreppsmetoder, som gör det nödvändigt att utveckla nya generationer av mikrochips.

GSM-systemets säkerhet är anpassat till de tillämpningsprogram, som hade förutsetts av systemets grundläggare för ca femton år sedan, d.v.s. huvudsakligen telefonrelaterede tillämpningar. De nya standarderna för tredje generationens mobiltelefoner innehåller en förbättrad säkerhet för att man skall kunna använda känsliga tillämpningar. Säkerheten för trådlösa transaktioner är i övrigt en av IST:s huvudprioriteringar i EU:s sjätte ramprogram för forskning och teknisk utveckling. Redan nu är en av målsättningarna för forskningsprogrammet Embedded Finread (IST-2000-30091) att överföra säkerhetsnivån för betalningsterminaler till den trådlösa telefonin, däribland det nuvarande GSM-systemet.

I andra projekt, såsom PKI Challenge (IST-2000-25012) och Digisec (IST-1999-20981), arbetar man med utveckling av en elektronisk namnunderskrift och tillhörande PKI-infrastruktur. Genom Nessie-projektet (IST-1999-12324) definieras nya kryptografiska algoritmer och projektet Verificard (IST-2000-26328) är inriktat på kontroll av det säkerhetsprogram som är inbyggt i dessa kort. Projekt såsom UFACE (IST-1999-11587) eller BANCA (IST-1999-11159) koncentrerar sig på tekniska aspekter på biometri.

Projektet Smartcities (IST-1999-12252) sysslar med ett stadskort. Fördelen med detta projekt är dock att man där uppfinner mekanismer för att garantera datasäkerheten. På Smartcities-projektet anser man att dataskydd kommer att bli ett försäljningsargument. Dessa mekanismer kommer att kunna återanvändas i samband med andra projekt.

(1) Europaparlamentets och rådets direktiv 98/34/EG av den 22. juni 1998 om ett informationsförfarande beträffande tekniska standarder och föreskrifter, EGT L 204, 21.7.1998.

(2) EGT L 77, 26.3.1973.

(3) EGT L 139, 23.5.1989.

(4) EGT L 281, 23.11.1995.

(5) EGT L 24, 30.1.1998 och EGT L 201, 31.7.2002.